Informatiebeveiliging: beleid, rollen en maatregelen
Informatiebeveiliging draait om drie eigenschappen van je informatie: is die beschikbaar wanneer je hem nodig hebt, klopt hij nog, en kan alleen de juiste persoon erbij. Beschikbaarheid, integriteit en vertrouwelijkheid samen bepalen wat er beschermd wordt en hoe zwaar.
Het verschil met cybersecurity zit in de reikwijdte. Cybersecurity gaat over digitale dreigingen, informatiebeveiliging ook over papier, gesprekken, sleutelbeheer en vertrekkende medewerkers. Achtergrond bij BIV in cybersecurity.
Wat er op orde hoort te zijn
Vier lagen, in deze volgorde. Beleid: vastgesteld door de directie, met een eigenaar en een herzieningsdatum. Rollen: wie beslist over toegang, wie beoordeelt risico’s, wie meldt een incident. Processen: toegang verlenen en intrekken, wijzigingen doorvoeren, incidenten afhandelen, leveranciers beoordelen. Techniek: pas als laatste, want gereedschap zonder proces levert weinig op.
De volgorde wordt in de praktijk vaak omgedraaid. Er wordt software aangeschaft, waarna blijkt dat niemand eigenaar is van de meldingen die eruit komen. Begin daarom bij een risicoanalyse: die bepaalt welke maatregelen passend zijn en welke je bewust achterwege laat.
Wat per sector het zwaarst weegt
Mkb en zakelijke dienstverlening
Klantgegevens, offertes en administratie. Toegangsbeheer en het intrekken van rechten bij vertrek zijn hier de maatregelen die het vaakst ontbreken.
Industrie en productie
Beschikbaarheid weegt zwaarder dan vertrouwelijkheid. Bepaal per proces hoe lang het stil mag liggen en richt daar je herstelplan op in.
E-commerce en platforms
Accounts, betaalstromen en klantgegevens. Scheiding tussen beheer en dagelijkse werkzaamheden voorkomt dat één gestolen wachtwoord alles opent.
Zorg en onderwijs
Persoonsgegevens met een hoge gevoeligheid. In de zorg geldt NEN 7510 als aanvulling op ISO 27001.
Overheid
De Baseline Informatiebeveiliging Overheid geeft een vaste set maatregelen als vertrekpunt, met verantwoording via een jaarlijkse toetsing.
Financiële dienstverlening
DORA stelt eisen aan ICT-risicobeheer, testen en leveranciersafspraken, met rapportage richting de toezichthouder.
Waar een beveiligingsprogramma uit bestaat
Classificatie van informatie
Drie tot vier niveaus volstaan. Zonder classificatie krijgt alles dezelfde bescherming, wat neerkomt op te veel maatregelen op de verkeerde plek.
Toegangsbeheer
Rechten op basis van functie, periodieke beoordeling door de leidinggevende en directe intrekking bij vertrek of functiewijziging.
Leveranciersbeheer
Weten welke partijen bij je gegevens kunnen, met afspraken over beveiliging, meldtermijnen en beëindiging. De zorgplicht dekt ook de keten.
Bewustwording en oefening
Training werkt zolang mensen weten waar ze iets kunnen melden en daar geen gevolgen van vrezen. Zie phishing simulatie.
Van losse maatregelen naar een werkend geheel
Organisaties bewegen doorgaans langs vier niveaus. Ad hoc: maatregelen bestaan, zonder vastlegging of eigenaar. Vastgelegd: beleid en processen staan op papier en worden gevolgd. Gemeten: er zijn cijfers over patchtermijnen, meldingen en toegangsbeoordelingen. Bijgestuurd: die cijfers leiden tot aanpassingen.
Toezicht onder de Cyberbeveiligingswet vraagt minimaal het tweede niveau met bewijs, en in de praktijk het derde. Wie alleen maatregelen heeft zonder registratie, kan niets aantonen. Zie cybersecurity audits.
Een beveiligingsprogramma opzetten
Scope en doel bepalen
We leggen vast welke data, systemen en processen binnen de aanpak vallen. Zo voorkom je blinde vlekken en is duidelijk wie eigenaar is van welk onderdeel.
Analyse van risico’s en inrichting
We brengen de huidige situatie in kaart, zoals rechten, configuraties, back-ups en logging. Daarna beoordelen we risico’s op kans en gevolg, zodat prioriteiten helder worden.
Maatregelen en beheer starten
Technische en organisatorische maatregelen worden ingevoerd en vastgelegd in werkafspraken. Monitoring maakt afwijkingen zichtbaar en helpt om sneller te reageren.
Controle en bijsturing
Periodiek toetsen we of maatregelen blijven aansluiten op de praktijk en relevante regels. Bij veranderingen in systemen of dreigingen passen we de inrichting en afspraken aan.
Wie waarvoor verantwoordelijk is
Vier rollen komen terug, ook in kleine organisaties waar één persoon er meerdere vervult. De directie stelt beleid vast, keurt risico’s goed en is onder de Cyberbeveiligingswet persoonlijk aanspreekbaar. De beveiligingsverantwoordelijke bewaakt het programma en rapporteert. De systeemeigenaar beslist wie toegang krijgt tot zijn systeem. De functionaris gegevensbescherming ziet toe op de omgang met persoonsgegevens en werkt onafhankelijk.
Leg vast wie welke rol vervult en zorg dat toezicht en uitvoering niet bij dezelfde persoon liggen.
Waarom uitstellen duurder uitpakt
Wij zijn te klein. Aanvallen op accounts verlopen geautomatiseerd en selecteren niet op omvang. De meeste datalekken in Nederland ontstaan trouwens door interne fouten, niet door gerichte aanvallen.
Onze IT-partij regelt dit. Beheer en beveiliging zijn twee opdrachten. Vraag expliciet wat er in het contract staat over monitoring, updates en meldtermijnen.
We doen het na de volgende investering. De maatregelen met het meeste effect kosten weinig: sterke inlog, updates met termijnen, geteste back-ups en het intrekken van oude accounts.